VPN-opptak: indre pakkar på tun0, konvolutt på eth0

Opptak på ein VPN-vert registrerer ikkje éin einaste ting. Kjernen eksponerer pakken to gonger: innpakka, på den fysiske adapteren, og utpakka, på tunneleininga. Å velje grensesnitt er å velje kva av desse historiene du les. Dei fleste debattar om kva eit opptak beviser, er eigentleg debattar om kva historie som vart samla inn.

Innkapsling skapar to visingar

Tunnelen tek pakken ein applikasjon har produsert og legg han inne i ein ny der destinasjonen er VPN-tenaren. Den indre forma viser seg på tun0, wg0 eller kva som helst eining klienten har oppretta. Den ytre forma viser seg på adapteren som ber han ut til nettverket. Begge former er legitime; dei svarar på ulike spørsmål. Samle kvar for seg, fordi dei to har ulike headers og ulike lesarar.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Pseudogrensesnittet any er eit dårleg val for denne samanlikninga. Videresende pakkar kan registrerast to gonger, og ein lokalt generert pakke viser seg i begge former, noko som blæs opp teljingane. Viss eit tal verkar umogleg, sjekk grensesnittet før du klandrar tunnelen.

Inne i tunnelen er pakken vanleg

På tunneleininga er det du ser, det applikasjonen bad kjernen om å sende. Destinasjonsadresser, portar, DNS-namn, TLS-tenarnamn, storleikar og timing er alle der. TLS-nyttelasten blir verande kryptert av applikasjonen si eiga økt, så opptaket avdekkjer ikkje sideinnhald. Ei DNS-spørjing i klartekst er synleg her sjølv om beraren er kryptert, fordi ho aldri var verna.

Kryptert DNS fjernar det eine synlege feltet. Det skjuler ikkje destinasjonsadressa, byttetalet eller rytmen, som er eigenskapar ved straumen og ikkje ved spørjinga.

Utanfor berre konvolutten og forma hans

Den fysiske adapteren viser adressa di, adressa til tenaren, porten, pakkestorleikar og timing. Destinasjonar som blir borne inni er fråverande, sjølv om forma deira framleis kan støtte slutningar. Storleikar og kadens kan antyde ein videostraum, ei stor overføring eller ei chatøkt utan å namngje nokon av dei. Ein observatør i nærleiken ser omtrent same vising, noko som forklarar korleis ein tunnel kan skjule nettstader medan han annonserer at han sjølv er til stades.

Den påstanden avheng av ruting. Ei smalare rute, ein IPv6-standard som ikkje går inn i tunnelen, eller ein prosess bunden til det fysiske grensesnittet vil leggje trafikken utanfor konvolutten. Les den faktiske ruta før du dreg slutningar frå opptaket.

Peer-adresse og opptakshygiene

OpenVPN i TCP-modus held ein etablert socket, så socket-tabellen kan namngje peeren. OpenVPN i UDP-modus lèt ofte socketen vere utan tilkopling, og ss viser kanskje berre den lokale sida. Les i staden remote i profilen, ein detaljert klientlogg eller ruta til endepunktet. WireGuard rapporterer endepunktet og det siste handtrykket direkte.

wg show
ss -tunp | grep 51820

Ei opptaksfil overlever økta som produserte henne. Ho kan kopierast, og ho kan vere lesbar for alle med lokal tilgang. Behald berre det undersøkinga treng, avgrens løyva og slett henne når arbeidet er gjort.

Eit opptak som kan delast, bør seie kva grensesnitt som produserte det og når. Utan den notata må neste lesar gjette kva lag han ser på.